Cyberattacken: Das Unternehmensrisiko Nummer 1

Aufsichtsbehörden für den Datenschutz warnen vor Cyberangriffen

Cyber-Attacken sind das weltweite Top-Risiko 2024, so das Allianz Risk Barometer. Das sagen nicht nur die Versicherer. Auch die Datenschutz-Aufsichtsbehörden betonen die Gefahren durch Cyberangriffe.

Ein Beispiel von leider vielen: Zu den größten Datenpannen in Rheinland-Pfalz gehörte im Juni 2023 der große Hacking-Angriff auf die Hochschule Kaiserslautern. Die Angreifenden erbeuteten umfassende Mengen personenbezogener Daten, die teils in sensible Kategorien fielen wie zum Beispiel Krankenkassendaten und Daten über Schwerbehinderungen. Mehr als 7.000 Studierende und Mitarbeitende der Hochschule waren von dem Datenraub potenziell betroffen.

Auch der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) berichtete von Cyberkriminalität und Angriffen auf IT-Systeme: Um Unternehmen und Behörden zu erpressen, verschlüsseln die Angreifer deren Daten und bieten die Entschlüsselung gegen hohe Geldsummen an, so der HBDI. Alternativ wird ein Teil der Daten im Darknet veröffentlicht oder mit der Veröffentlichung gedroht. Zudem zielen viele Angriffe auf IT-Dienstleister, die für hunderte Unternehmen und Behörden die Datenverarbeitung übernehmen. Das multipliziert den Schaden vielfach.

Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg machte deutlich: „Behörden, Unternehmen und Vereine sind aufgefordert, dauerhaft eigene personelle, finanzielle und zeitliche Ressourcen auf den Gebieten des Datenschutzes und der Informationssicherheit bereitzuhalten. Hierbei kommt den in ihrer Bedeutung häufig unterschätzten Datenschutzbeauftragten vor Ort eine Schlüsselrolle zu.“

Cyberattacken sind nicht nur Thema für IT-Sicherheit und Risikomanagement

Auch Hamburg erreichte einen neuen Höchststand meldepflichtiger Datenschutzverletzungen bei Unternehmen und Institutionen. Auffällig ist dabei die zunehmende Intensität der Cyber-Angriffe, die teilweise tief in die IT-Systeme eindringen und Organisationen über einen langen Zeitraum schaden können, so der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit.

Hierzu Thomas Fuchs: „IT-Sicherheit bleibt ein hoch relevantes Thema. Auch Einrichtungen, die nicht zur kritischen Infrastruktur gehören, müssen auf hohe Sicherheitsstandards Wert legen, um ihre Systeme und personenbezogenen Daten zu schützen.“

Als wären die Herausforderungen im Datenschutz wie Betroffenenrechte oder Verarbeitungsverzeichnis nicht schon umfangreich genug, haben die betrieblichen und behördlichen Datenschutzbeauftragten auch noch die Cybersicherheit als Thema. Cybersicherheit gehört also nicht etwa nur zur IT-Sicherheitsabteilung oder im Sinne des größten Unternehmensrisikos zum betrieblichen Risikomanagement.

Grundsätzlich müssen sowohl für Datenverarbeitungen im „Cyberraum“ als auch für Datenzugriffe aus dem und in den „Cyberraum“ alle Maßnahmen der Datenschutz-Grundverordnung (DSGVO) für die Sicherheit der Verarbeitung personenbezogener Daten gewährleistet werden. Dabei versteht man unter Cyberraum „alle mit dem Internet verbundene IT-Systeme und IT-Infrastrukturen sowie deren Kommunikation, Anwendungen, Prozesse mit Daten, Informationen, Wissen und Intelligenzen“. Die Nutzung von Cloud Computing ist nur ein Beispiel dafür.

Datenschutz und Cybersicherheit gehören eng zusammen

Der Europäische Datenschutzbeauftragte (EDPS) machte die notwendige Verbindung von Datenschutz und Cybersicherheit sehr deutlich: „Man kann Cybersicherheit nicht getrennt vom Datenschutz betrachten. Zusammen stellen sie ein wirksames Paket ergänzender Maßnahmen und Instrumente zum Schutz der personenbezogenen Daten des Einzelnen, seiner Privatsphäre und des digitalen Ökosystems der EU als Ganzes dar. Sie tragen auch maßgeblich zur Wahrung der Werte und der Demokratie der EU bei, was vor den nächsten Wahlen zum Europäischen Parlament im Jahr 2024 von entscheidender Bedeutung ist“.

Für betriebliche und behördliche DSB gilt das gleiche wie für den EDPS, wenn dieser sagt: „Im Wesentlichen sind Cybersicherheit und Datenschutz untrennbar miteinander verbunden, sie sind zwei Seiten derselben Medaille.“

Dies muss sich noch stärker in den Unternehmen und Leitungsebene etablieren. Denn Datenschutz kommt nicht mehr ohne Cybersicherheit aus, und rechtskonforme Cybersicherheit geht nur mit Datenschutz.

Oliver Schonschek